Транспондер цифровой подписи - Digital signature transponder

В Инструменты Техаса транспондер с цифровой подписью (DST) - это криптографически активный определение радиочастоты (RFID) устройство, используемое в различных приложениях беспроводной аутентификации. Крупнейшие развертывания DST включают Exxon-Mobil Speedpass платежная система (около 7 миллионов транспондеров), а также различные иммобилайзер автомобиля системы, используемые во многих последних моделях автомобилей Ford, Lincoln, Mercury, Toyota и Nissan.

DST - это пассивный транспондер без питания, в котором используется запатентованный блочный шифр реализовать проверка подлинности запрос-ответ протокол. Каждый тег DST содержит некоторое количество энергонезависимая RAM, в котором хранится 40-битный ключ шифрования. Этот ключ используется для шифрования 40-битного запроса, выданного считывателем, в результате чего получается 40-битный запрос. зашифрованный текст, который затем усекается для получения 24-битного ответа, передаваемого обратно считывателю. Верификаторы (которые также обладают ключом шифрования) проверяют эту проблему, вычисляя ожидаемый результат и сравнивая его с ответом тега. Ключи шифрования транспондера программируются пользователем с использованием простого беспроводного протокола. После правильного программирования транспондеры могут быть «заблокированы» отдельной командой, что предотвращает дальнейшие изменения значения внутреннего ключа. На заводе каждый транспондер снабжен 24-битным серийным номером и 8-битным кодом производителя. Эти значения фиксированы и не могут быть изменены.

Шифр DST40

До 2005 года шифр DST (DST40) являлась коммерческой тайной Texas Instruments и предоставлялась клиентам по соглашению о неразглашении. Эта политика, вероятно, была введена из-за нестандартной конструкции шифра и небольшого размера. размер ключа, что сделало его уязвимым для поиска ключей методом перебора. В 2005 году группа студентов из Университет Джона Хопкинса Институт информационной безопасности и RSA Laboratories перепроектировал шифр с помощью недорогого оценочного комплекта Texas Instruments, используя схемы шифра, просочившиеся в Интернет, и методы «черного ящика» [1] (т. е. запрашивая транспондеры через радиоинтерфейс, а не разбирая их для проверки схем). Как только конструкция шифра была известна, команда запрограммировала несколько FPGA устройства для выполнения поиска ключей методом перебора на основе известных пар запрос / ответ. Используя одно устройство FPGA, команда смогла восстановить ключ из двух известных пар запрос / ответ примерно за 11 часов (средний случай). С массивом из 16 устройств FPGA они сократили это время до менее одного часа.

DST40 несбалансированный на 200 патронов Шифр Фейстеля, в котором L0 составляет 38 бит, а R0 - 2 бита. В ключевой график это простой регистр сдвига с линейной обратной связью, который обновляется каждые три раунда, в результате слабые ключи (например, нулевой ключ). Хотя шифр потенциально обратим, протокол DST использует только режим шифрования. При использовании в протоколе с 40–24-битным усечением вывода результирующий примитив более точно описывается как Код аутентификации сообщения а не функцию шифрования. Хотя усеченный блочный шифр представляет собой необычный выбор для такого примитива, эта конструкция имеет преимущество, заключающееся в точном ограничении количества конфликтов для каждого отдельного значения ключа.

Шифр DST40 - один из наиболее широко используемых несбалансированных шифров Фейстеля.

Реакция и исправления

Уязвимость, обнаруженная командой Хопкинса, указывает на потенциальные угрозы безопасности для миллионов транспортных средств, которые защищены с помощью систем иммобилайзера на основе DST, а также для системы Exxon-Mobil Speedpass. Идеальным решением этой проблемы является замена транспондера DST в этих системах устройством, оснащенным более надежной криптографической схемой, использующей более длинную длину ключа. Однако стоимость отзыва этих систем безопасности непомерно высока, и по состоянию на октябрь 2005 года ни Texas Instruments, ни Exxon-Mobil, ни какой-либо производитель транспортных средств не объявляли об отзыве. В настоящее время наиболее эффективная защита от этой атаки зависит от бдительности пользователя, например, защита ключей транспондера, проверка счетов Speedpass на предмет мошенничества и, при необходимости, использование металлического щита (например, алюминиевая фольга ) для предотвращения несанкционированного сканирования тегов DST. Эта уязвимость также привела к созданию Тег блокировщика RSA и кошельки с блокировкой RFID.

Рекомендации

[1] С. Боно, М. Грин, А. Стаблфилд, А. Рубин, А. Джулс, М. Шидло. «Анализ безопасности устройства RFID с поддержкой криптографии». В Материалы симпозиума по безопасности USENIX, Август 2005 г. (pdf)